📄 随输入换压缩宽度、只扰动高频梅尔带：音频伪造检测的泛化框架
标签：#音频深度伪造检测 | #对抗训练 | #混合专家模型 | #语音
评分：8.0/10 | 创新 1.5/2 | 技术严谨 1.2/1.5 | 实验充分 1.2/1.5 | 清晰度 0.8/1 | 影响力 1/1.5 | 开源 1/1.5 | 可复现 0.3/0.5 | 工程/实践 1/1.5
👥 作者与机构
- Jianqiao Cui：Yangtze Delta Region Institute of Tsinghua University；Jiaxing, China
- Haoxian Zhu：University of Southampton；Southampton, UK
- Hanbiao Meng：Taiyuan University of Technology；Taiyuan, China
- Yanghao Zhang：Imperial College London；London, UK
📌 核心摘要
音频深度伪造检测的输入是连续语音波形，输出是真实或伪造的二分类判定，难点在于不同伪造痕迹的信息密度差异很大，固定宽度的瓶颈表示难以同时保留微弱取证线索并抑制冗余噪声。论文在冻结的语音编码器后加入自适应音频特征集成，由路由为每个话语从压缩池选择多分辨率特征并与原始编码特征拼接送入解码器做单类别词元分类。训练侧加入梅尔频带对抗扰动，在对数梅尔谱的高频先验频带内用多步投影梯度下降生成扰动，迫使模型不再依赖易被破坏的高频捷径。在按语音合成、声音转换与神经声码器分组并取平均的路由对比中，Whisper-base基线的等错误率为5.73%，top-3自适应选择的等错误率为2.00%，方向为更低。在BD-UT数据集上以Whisper-small编码器做迭代步数消融时，等错误率从K为零时的0.95%降至K为五时的0.87%，对应训练时间相对基线增加约115%，且推理阶段不增加扰动开销。相对把编码器当固定特征提取器加固定瓶颈的做法，差异在于压缩宽度随输入变化且正则只作用于取证先验频带。结论适用于训练所覆盖的合成类型和常规失真附近的泛化，在强自适应攻击和部分跨语言条件下误差明显升高，路由分布与伪造类型的关联分析仅为关联性证据而非因果证据。
🔗 开源与复现资源
- 数据相关资源：https://www.modelscope.cn/datasets/inclusionAI/SPEECHFAKE — 链接可访问（HTTP 200）
可达状态仅表示本次链接检查结果，不代表许可证、本文权重或运行复现已验证。
🧭 深度解读
音频伪造检测要从波形里保留什么信息
音频伪造检测的输入是 16 kHz 的原始波形，目标是判断一句话是真实录制还是合成、转换或神经声码器重建。必须保留的信息是能区分真伪的声学不一致，例如相位不连续、声码器高频痕迹和跨时间的局部异常，而不是说话内容或说话人身份。输出是真或伪的判定，论文用等错误率衡量，越低越好。难点在于伪造工具多样，TTS、声音转换和神经声码器的痕迹密度不同，固定宽度的表示可能在高保真样本上丢掉弱线索，在低质量样本上又保留太多冗余。
另一难点是模型容易依赖高频易碎线索，在压缩、噪声、变速等真实失真下失效。论文把问题拆成两部分，一是表示宽度要随输入变化，二是训练要让决策边界不依赖脆弱频带。
给新生的最小例子如何对应到组件
举一个教学例子帮助记忆，但它不是论文的新数据。想象同一句话分别被高质量神经声码器和明显有噪声的旧工具伪造，前者痕迹弱而分散，后者痕迹强而集中。自适应模块的作用是对前者更可能加权宽分支以保留细节，对后者更可能加权窄分支以压住冗余，这对应压缩池提供多种宽度、路由器按整句表示挑选。梅尔带扰动的作用是在训练时故意抖动高频带，让模型不能只背高频数值，而要学跨频带的内在一致性，这对应掩码限定位置、对抗优化制造难例。
解码器的交叉注意力则像用放大镜逐帧核对拼接后的声学上下文，最后只输出 1 个类别词元。这个例子只说明分工，实际选择比例和增益以论文表格为准，不能从例子反推数值。
已有路线为什么在跨域时容易失效
已有路线一类是固定瓶颈加预训练表示，例如把 Wav2vec 或 Whisper 当固定特征提取器再接分类头，对所有输入做同样维度的变换。论文认为这在伪造痕迹密度不均时是次优的，窄了可能丢弱取证线索，宽了可能引入噪声。另一类是全局增强或全局对抗训练，把噪声、变速、音量变化直接加到全部信号上，论文的对照显示这种做法在干净数据上也会明显变差，属于用 blunt 手段破坏了整体谱时结构。
频率域对抗在视觉中有 FreqAT 等工作，在音频伪造中有 F-SAT 把选定频带扰动加到短时傅里叶幅度谱再重建波形。论文的比较保持输入、目标和运行阶段一致，指出自己与 F-SAT 的区别是直接在 Whisper 的对数梅尔输入上做固定 4 到 8 kHz 扰动，省掉波形重建和二次特征提取。跨编解码器实验也显示只在单个 CodecFake 子集上训练的模型在本子集内好、换子集后明显变差，说明只见过窄分布的模型容易特化。
与 F-SAT 和混合专家概念的边界在哪里
初学者容易把自适应模块当成普通混合专家，把梅尔带扰动当成普通数据增强，需要按原文划清边界。普通混合专家通常用同构专家扩容量，而本文压缩池的分支是异构宽度，目的不是扩容量而是提供不同压缩比，参数增量对 Whisper-small 约 3.2%，论文强调增益来自自适应选择而非单纯加参数。F-SAT 在短时傅里叶幅度谱上选带扰动再重建波形，而本文直接在对数梅尔输入上做固定高频带扰动，省掉重建和二次提取，并与 Whisper 的感知尺度对齐。
全局增强在训练时见过同类失真仍变差，说明见过不等于学到不变特征，带限对抗的价值在于约束扰动位置以保留整体结构。这些区分都只在原文报告的预算、频带和骨干下成立，换条件需要重做对照。
论文提出的两个研究问题是什么
论文把目标写成两个可验证的问题。第一个问题是输入相关的压缩表示能否补充冻结编码器特征，以适应不同伪造条件，这对应自适应音频特征融合模块。第二个问题是如何增强对未见伪造方法和对抗攻击的鲁棒性，这对应梅尔带对抗扰动策略。训练数据限定为 SpeechFake 双语集的官方训练划分，只含英文和中文，测试则包括官方双语测试、未见商业接口生成的 BD-UT，以及 ADD 2022、FakeOrReal、In-the-Wild 等完全没参与训练的数据集。
论文明确零样本指在训练没用过的数据集上不微调直接评测，而不是换一种训练数据也能同样好。附录还用只在双语上训练、在西班牙语、法语、日语、意大利语、韩语上测试来考察跨语言迁移，但那是对语言不变线索的关联证据，不是因果证明。
输入处理的具体形状与拼接细节
把形状写清楚有助于实现。编码器输出记为时间帧乘编码器维度，对 Whisper-small 是 768 维。每个压缩分支先降到各自隐维度再升回原维度，自适应融合结果与原始编码器输出沿通道拼成 2 倍维度，再经全连接层映射到解码器维度并过激活，得到声学上下文。路由器输入是时间平均后的整句向量，输出是各分支权重，取前 k 个归一化后加权。梅尔谱是时间帧乘 80，对抗扰动只在 60 到 80 带内非零，其他位置被掩码置零。
训练损失同时看干净谱和扰动谱，解码器输入是声学上下文作键值、提示词元作查询，输出是类别词元的概率。论文没有给出融合层和路由矩阵的逐层初始化细节，复现时只能按常规线性层处理并记录自己的选择，不要猜测原文未写的值。
整体流程是怎样把波形变成真伪判定的
先看一条样本的完整路径有助于理解分工。输入音频先经 Whisper 固定预处理变成对数梅尔谱，训练时该谱会按高频带掩码加入对抗扰动，干净谱和扰动谱都会送入模型。冻结的 Whisper 编码器输出共享特征，同时自适应模块对同一编码器输出做多宽度压缩、路由选择和上采样融合，得到自适应特征。两路特征沿通道拼接后经全连接层映射成解码器可用的声学上下文，Whisper 解码器用交叉注意力关注其中的局部帧并生成代表真或伪的单个类别词元。
训练时编码器不动，只更新自适应模块、融合投影层和解码器，梯度来自干净分支和扰动分支的加权交叉熵之和。推理时不再生成扰动，因此没有额外的扰动开销。
下面这张总览图把 3 段路径画在了一起，左侧是扰动如何用梯度更新，中间是自适应选择如何加权，右侧是融合特征如何被解码，建议按输入到输出的箭头先走一遍主路。
看图路径： 1. 先从底部输入音频经梅尔带扰动到编码器的主链路看起；2. 再看编码器分出的共享特征与自适应模块选出特征在哪里拼接；3. 对照左侧扰动更新回路与右侧解码器交叉注意力的输入输出
论文图 1。原论文 Figure 1:：“Schematic of the robust audio forgery detection pipeline.”。
从像素上看，底部是输入音频和梅尔谱，向上经过梅尔带扰动到编码器，编码器向右分出一路共享特征，向中经过自适应模块得到选出特征，两路在拼接处汇合再经全连接层向上。中间放大部分显示多个压缩池分支和自适应路由器给出的权重，右侧是多个解码器块和交叉注意力，底部是起始词元、顶部是类别词元。左侧黄色区域显示干净损失和扰动损失各自的交叉熵和梯度汇合去更新扰动，这对应训练时才有的回路。
自适应模块如何为每个样本挑选压缩宽度
自适应音频特征融合模块初次出现时可以这样理解，它是一个按样本换瓶颈宽度的过滤器。它的压缩池由多个并行分支组成，每个分支是一个无偏置的单层线性投影，把编码器维度降到不同隐维度，原文实现用 16、32、64、128、256 这组宽度。对 Whisper-small 编码器维度是 768，对 Whisper-base 是 512，降维后再用对应的上采样投影映射回原维度。路由器先对编码器输出做时间平均得到整句向量，再用两个可学习矩阵分别算选择分量和噪声尺度，加入标准高斯噪声后经 Softplus 得到各分支权重，训练时噪声保持探索，推理时噪声置零以保证确定输出。最后取权重最大的前 k 个分支，按归一化权重对上采样后的特征加权求和。
Whisper 编码器 × 自适应音频特征融合模块： Whisper 编码器负责给出通用的声学表示，参数冻结后不再更新；自适应音频特征融合模块负责在该表示之上再做多种压缩宽度的变换并按输入挑选融合，二者分工是通用表示保底、多分辨率表示补细节，组合后解码器同时看到原始宽表示和按样本选出的窄或宽表示。
压缩池 × 自适应路由器： 压缩池是多个并行的降维分支，每个分支隐维度不同，提供从窄到宽的多种信息瓶颈；自适应路由器是对整句平均后的表示计算选择权重并取前 k 个分支加权融合，路由器决定用哪几个宽度，压缩池提供候选表示，组合后每个样本得到自己的融合特征。
\[\mathbf{Z}_{aafi}=\sum_{i\in K}\frac{w_{i}}{\sum_{j\in K}w_{j}}\cdot\text{UpNet}_{i}(\mathbf{Z}_{i})\]上式中集合是前 k 个分支的下标，权重是路由器输出的归一化值，被加权的是各分支上采样回原维度的特征。论文报告神经声码器样本约 59% 的选择落在 128 和 256 维宽分支，标准 TTS 样本约 64% 落在 16 和 32 维窄分支，10 dB 噪声样本约 48% 落在窄分支，这与按条件选多分辨率的说法一致，但原文也提醒这只是关联分布，不能证明痕迹密度直接决定了所选宽度。消融显示前 2 个分支不够用，前 5 个又引入冗余，实践取前 3 个是效率和精度的折中。
梅尔带扰动为什么只动高频带
梅尔带对抗扰动初次出现时可以理解为只在敏感频带内找难例的正则器。输入是对数梅尔谱，时间帧数乘 80 个梅尔带，论文用二值掩码把扰动限制在梅尔下标 60 到 80，对应约 4 到 8 kHz。动机是神经声码器痕迹集中在高频，模型若只记这些易碎线索，在压缩和噪声下就会失效，全局扰动又会破坏语义和整体结构。做法是在该带内最大化检测损失，用 5 步投影梯度下降迭代，扰动预算为 0.01，步长为 0.002，每步取梯度符号更新并投影回无穷范数球内。
扰动直接加在对数梅尔输入上，不重建波形，因此与编码器消费的表示对齐。论文强调这是训练时正则，推理零开销，但每步对抗迭代都要多做编码器前向和反向，所以训练时间明显增加。
对数梅尔谱 × 梅尔带对抗扰动： 对数梅尔谱是 Whisper 固定预处理把波形变成的时频输入，有 80 个梅尔频带；梅尔带对抗扰动只在其中高频带内用投影梯度下降找使损失变大的小扰动并加入训练，频带掩码限定扰动位置，对抗优化提供难例，组合后模型被迫不依赖易碎的高频捷径。
\[\mathbf{D}_{t,f}=\begin{cases}1&\text{if }f\in[m_{l},m_{u}],\\ 0&\text{otherwise},\end{cases}\]上式定义了掩码，时间帧任意而频率下标落在所选上下界内取 1，否则取 0，扰动只与掩码逐元素相乘后加到谱上。频带消融在同一预算和步数下比较了高频带、0 到 8 kHz 全带和 0 到 4 kHz 低带，结果高频带在干净 BD-UT 上最低，这支持把正则集中在取证先验指向的频带，而不是无差别扰动全谱。
冻结了什么、梯度流向哪里、监督从哪里来
本研究的训练冻结了 Whisper 编码器全部参数，目的是保留大规模预训练的声学表示并降低开销，可学习的是自适应模块、拼接后的全连接融合层和 Whisper 解码器。监督来自词元级的加权交叉熵，目标序列是代表真或伪的类别词元，解码器自回归计算其概率。数据不平衡用过采样加类别权重共同处理，把真样本复制到真伪有效比约 3 比 5，权重取真 1.0、伪 0.6，以减少把真判成伪的错误。优化器用 AdamW，学习率为 1 乘 10 的负 4 次方，权重衰减为 1 乘 10 的负 5 次方，批量 32，最多 10 轮，若验证等错误率连续 5 轮不改善则早停。最终目标是干净输入损失加扰动输入损失之和，梯度同时流经两条分支的可学习部分，编码器不接收更新。
Whisper 解码器 × 加权交叉熵： Whisper 解码器通过交叉注意力关注声学表示的局部帧并自回归生成类别词元，负责把声学证据变成真或伪的判定；加权交叉熵对真和伪类别给不同权重并配合过采样来平衡梯度，二者搭配是解码器给出词元概率、加权损失决定参数更新方向。
\[\mathcal{L}=\mathcal{L}_{WCE}(\mathcal{F}_{\theta}(M),Y)+\mathcal{L}_{WCE}(\mathcal{F}_{\theta}(\text{Mel-BAP}(M)),Y)\]上式中第一项是干净对数梅尔谱的加权交叉熵，第二项是同一样本经梅尔带扰动后谱的加权交叉熵，两项相加意味着模型既要在原分布上判对，也要在高频难例上判对。论文没有报告多次随机种子的误差条，理由是 Whisper 规模下训练成本高，只报告多基准平均值，这一点在复现时要留出波动余量。
数据划分、基线条件和指标方向如何约定
主训练用 SpeechFake 双语集的官方划分，训练、验证、测试不重新分配样本，BD-UT 的伪样本全部来自训练没见过的商业接口。评测分三层，一是在双语英文、中文和 BD-UT 上看模块增益，二是在噪声、变速 0.5 到 1.5 倍、音量正负 15 dBFS 的动态攻击下看干净和攻击两档表现，三是在 ADD 2022 第一赛道、FakeOrReal、In-the-Wild、ASVspoof 2019 和 2021 LA 上做零样本比较，平均值按这 5 个基准重算。外部 25 个系统的数字取自 Speech-DF-Arena 2025，训练数据和协议并不统一，因此论文声明这是情境性比较而非严格控制比较。基线是同骨干不加自适应和扰动的 Whisper-base 与 Whisper-small，编码器冻结条件保持一致。指标一律用等错误率，越低越好。
等错误率 × 零样本评测： 等错误率是误接受率等于误拒绝率时的工作点，数值越低越好，用于比较不同检测器；零样本评测指在训练完全没用过的 ADD 2022、FakeOrReal、In-the-Wild 等数据集的测试划分上直接评测，二者搭配说明泛化比较的问题是在分布变化下错误率是否仍然更低。
复现要注意硬件是两块 A6000，输入是 16 kHz 波形经默认 25 毫秒窗、10 毫秒跳、80 梅尔带和对数压缩，扰动带取 60 到 80。作者资源方面，本次核验到 SpeechFake 在 ModelScope 的数据集链接当前可用，但这只证明该数据集可获取，不等于本论文代码或权重已公开，论文正文提到的匿名补充代码也不能当作已可运行。
主结果在哪些数据集上成立、代价是什么
核心主张是 Whisper-small 加两个模块后在 5 个零样本基准上平均等错误率最低，且参数远小于数十亿参数的商业模型。这个结论的成立条件是训练固定为双语官方划分、测试固定为上述 5 个基准的测试划分、外部系统数字直接引用 arena 而非同条件重训。热力图所示的 CodecFake 交叉测试进一步说明只见过单一编解码子集的模型容易特化，而见过全量分布的模型跨子集更稳，这与主结果的泛化故事一致，但它是 Whisper-base 上的编解码器内比较，不能直接外推到所有真实场景。
下面热力图的读法是行表示在哪个子集上训练，列表示在哪个子集上测试，颜色越浅数值越小，先看首行全量训练是否整体偏浅，再看单子集行在非对角线上是否变深。
看图路径： 1. 先看第一行全量训练模型在各测试列上是否为浅色低值；2. 再看只用单个子集训练的行在对角线外是否变深；3. 对比 E 与 F 系列行列的块状高值与跨系列退化
论文图 2。原论文 Figure 2:：“Cross-testing results of anti-spoofing models on CodecFake test subsets.”。
从像素上看，第一行全量模型的格子多为 0.78 左右的浅色，只在个别列如 D2 的 8.59 处偏深。对角线附近如 A 到 A 为 0.00、B1 到 B1 为 0.00，说明同分布内很低。换列后如 A 行到 C 列 60.94、到 D 系列多为 47 左右的深色，E 行整行多为 50.00，F 系列跨系列也多为高值，这说明窄分布训练在未见编解码器上退化明显。颜色条从 0% 到 60%，越深表示等错误率越高，因此往下变深不能读成性能变好。
| 条件 | 指标 | top-3 EER | top-4 EER | 备注 |
|---|---|---|---|---|
| TTS | EER | 0.85% | 0.83% | 两者接近 |
| VC | EER | 1.88% | 1.67% | 前 4 略低 |
| NV | EER | 3.44% | 3.50% | 前 3 略低 |
| 平均 | 平均 EER | 2.06% | 2.00% | 前 4 最低但差距小 |
上表比较的是自适应路由取前几个分支的问题，公平条件是同为双语训练、无扰动、编码器冻结，指标越低越好。结果显示前 4 平均 2.00% 最低，但与前 3 的 2.06% 差距很小，TTS 和 NV 两档几乎持平，论文因此选前 3 作为部署折中。限制是前 2 明显不够、前 5 反而因冗余下降，说明路由容量不足和过量都会损害融合，k 的最优值依赖该数据划分。
| 策略 | 频带 | 梅尔下标 | 干净 EER | 含义 |
|---|---|---|---|---|
| 梅尔带对抗 | 高频带 | [60, 80] | 0.91% | 本文策略 |
| 全带 PGD | 全带 | [0, 80] | 1.15% | 全局扰动 |
| 低带 PGD | 低频带 | [0, 60] | 1.28% | 非先验频带 |
上表比较的是扰动频带约束是否重要，条件是同预算、同迭代步数、无自适应模块。结果是高频带 0.91% 低于全带 1.15% 和低带 1.28%，支持把扰动集中在声码器痕迹频带。限制是这只是干净 BD-UT 上的一组对照，没有给出多次运行的波动，也没有证明在所有噪声类型下高频带恒优。
| 条件 | 指标 | 干净基线 | 扰动后 | 对照说明 |
|---|---|---|---|---|
| BD-UT 干净 | EER | 1.19% | 0.91% | 加扰动训练后更低 |
| 动态攻击 | EER | 3.57% | 2.44% | 同为 Whisper-base 攻击档 |
| 全局增强干净 | EER | 1.19% | 2.33% | 全局增强反而变差 |
上表回答的是针对性正则是否优于全局增强，比较在 BD-UT 干净和动态攻击两档下进行。梅尔带扰动把干净从 1.19% 降到 0.91%，把攻击从 3.57% 降到 2.44%，而同样噪声、变速、音量做全局增强时干净反而从 1.19% 升到 2.33%。这说明全局失真可能破坏语义结构，带限扰动保留了整体结构。未胜出项是全局增强在攻击档也更差，论文没有声称全局增强在任何调参下都不行，只报告了该实现下的权衡。
| 模型 | 参数量 | ADD 2022 EER | 平均 EER | 说明 |
|---|---|---|---|---|
| Whisper-small 本文组合 | 252M | 1.87% | 1.51% | 本文可运行策略 |
上表是零样本主结果的精简对照，平均值按 5 个基准重算，越低越好。本文 252M 模型平均 1.51%，低于 1,000,000,000 参数模型的 6.37%，在 ADD 2022 上 1.87% 低于 3,000,000,000 参数模型的 9.96%。论文还提到 MoLEx 在 FakeOrReal 和 In-the-Wild 上极低但在 ADD 2022 上高达 31.94%，DLMSL 在干净 ASV 上低于 0.1% 但在 ADD 2022 上为 15.14%，说明单基准最优不等于跨域稳健。限制是外部系统训练数据不公开，只能算情境比较，且 In-the-Wild 上本文 3.14% 仍高于个别专用模型，通用性是以单点最优为代价的。
去掉噪声、换迭代步数和换攻击会发生什么
消融围绕 3 个可操作的选择展开。第一是自适应路由的高斯噪声，BD-UT 上无自适应基线为 1.19%，无噪声自适应为 1.05%，有噪声自适应为 0.91%，利用熵从 0.74 升到 0.92，说明噪声维持了分支利用多样性，避免早早塌到单一宽度。论文没有补无噪声时必塌到哪一层的因果证明，只给出熵和误差的关联。第二是扰动迭代步数，用 Whisper-small 编码器在 BD-UT 上，0 步为 0.95%，1 步为 1.02% 反而略差，3 步为 0.89%，5 步为 0.87%，10 步为 0.86%，训练时间分别增加约 25%、70%、115%、220%，因此选 5 步是精度和成本折中，且推理零开销。
第三是测试时自适应攻击，把扰动能量故意放到训练没重点防御的 0 到 4 kHz，基线在自适应 PGD 下到 22.10%，本文组合为 7.93%，标准 PGD 下为 11.42% 对 3.81%，CW 下为 15.85% 对 5.24%，说明不是简单的梯度遮蔽。但 7.93% 仍远高于干净 0.53%，强自适应攻击下仍有明显退化，不能读成已免疫。
哪些结论还只是推测、哪些范围尚未评测
需要分清已报告和待验证。已报告的是在给定划分和冻结条件下，带限扰动优于同预算全带和低带，全局增强在该实现下损害干净精度，前 3 路由接近前 4 且远优于前 2。只是推测的是信息瓶颈的宽窄直觉，例如高保真需要宽表示、低质量窄表示就够，路由分布与该直觉一致，但原文明确说这只是关联而非因果。尚未评测的包括实时流式延迟、长时非平稳环境下的持续适应、更多语种和更多编解码器组合下的统计显著性，以及不同扰动预算和随机种子下的波动。
跨语言部分只在英中训练后抽测 5 个未见语言各 10,000 条，西班牙语从 7.11% 到 5.65%、法语从 5.17% 到 3.92%、日语从 5.52% 到 4.19%、意大利语从 4.66% 到 3.91%、韩语从 4.50% 到 4.02%，平均从 5.39% 到 4.34%，提升幅度因语言而异，不能推广为所有语言均匀增益。训练成本随 PGD 步数线性上升，10 步约增加 220%，这是必须接受的代价。
复现第一步要固定什么才能对上数字
复现第一步不是直接跑大模型，而是先固定数据和预处理。用官方双语训练、验证、测试划分，不跨子集搬样本，BD-UT 保持未见商业接口的构成。音频重采样到 16 kHz，用 Whisper 默认的 25 毫秒窗、10 毫秒跳、80 梅尔带和对数压缩，扰动带固定为梅尔 60 到 80，对抗预算 0.01、步长 0.002、迭代 5 步。骨干选 Whisper-base 或 Whisper-small 并冻结编码器，只训练自适应模块、融合全连接层和解码器，类别权重取真 1.0、伪 0.6 并配合过采样到 3 比 5，AdamW 学习率 1 乘 10 的负 4 次方。
评测只用各数据集的测试划分，训练用过的部分不再混入测试，外部系统不重训只引用 arena 数字并注明协议不同。常见误解是把平均等错误率的相对下降当成百分点下降，例如 1.51% 对 6.37% 是约 76.3% 的相对降低，不是差了 76 个百分点。另一个误解是把编码器冻结当成输出确定，实际上路由噪声、采样和解码仍受训练随机性影响，没有误差条时要多跑几次看波动。
什么时候值得尝试以及还需要补哪项验证
当任务是跨工具、跨语言、带压缩和噪声的音频真伪检测，且已有 Whisper pipeline 时，这个插件值得尝试，因为它不动编码器、只加轻量自适应和训练时扰动，推理不增加扰动开销。自适应部分适合痕迹密度不均的场景，带限扰动适合怀疑模型依赖高频捷径的场景。若数据本身就是单一采集条件且干净精度已够，就不必为小幅增益付出对抗训练的额外时间。
复现后最需要补的验证是同条件多次运行的波动、真实产品噪声下的误判分布，以及延迟和内存的实测，而不是只看平均等错误率。判断是否采用时，把干净精度、攻击精度、训练成本和跨数据集稳定性 4 个数放在一起看，若干净精度下降或成本不可接受，就应调小迭代步数或换回前 3 路由，而不是只追最低的一档误差。
📎 论文与评分元数据
排名：前25% | 文档类型：方法研究 | arXiv 原文
⚖️ 评分明细
评分属于系统判断，不是论文实验结果；八维数值与总分见页首，原始审计记录保留在后端。
评分规则：type-aware-v1
评分模型：muse-spark-1.3-contributor
评分请求协议：openai_responses